依存関係のライフサイクル
Merlon は、ツールチェーン、ベースイメージ、GitHub Actions、セキュリティ検査ツールを、レビュー済みバージョンまたは不変ダイジェストに固定する。固定は再現可能な証跡であり、更新を停止する理由ではない。本台帳の最終確認日は 2026年8月15日 である。
ランタイム台帳
| コンポーネント | リポジトリの固定値 | 上流サポート期限 | 必要な対応 |
|---|---|---|---|
| Go | 1.26.6 | 新しいメジャー版が2つ出るまでサポートされるため、1.26 は 1.28 のリリース時にサポート終了 | セキュリティ版へ直ちに更新し、1.28 のリリース前に 1.27 への移行を完了する。 |
| Node.js | 26.5.0 | Node.js 26 は2026年10月28日に Active LTS へ移行するまで Current であり、2029年4月30日終了 | サポート対象の最新パッチへ速やかに更新する。Active LTS 移行日までは変化の速い系列として扱い、リリースごとに上流を再確認する。EOL の90日前までに新しい LTS へ移行する。 |
| PostgreSQL | 18.4 | PostgreSQL 18 は2030年11月14日終了 | マイグレーション／復元テスト後にマイナー版を更新し、EOL の180日前までに次のメジャー版へ移行する。 |
| Alpine Linux | 3.24.1 | Alpine 3.24 は2028年6月1日終了 | セキュリティ／保守リリースで再ビルドし、EOL の90日前までに新ブランチへ移行する。 |
オペレーター UI は Go バイナリが MERLON_UI_DIR から配信するため、ランタイムイメージは独立した Web サーバーを持たない。したがって本台帳は Web サーバーコンポーネントを追跡しない。
レビュープロセス
- Dependabot は Go modules、npm、GitHub Actions、Dockerfile を毎週確認する。Action はレビュー後も完全なコミット SHA に固定する。
- セキュリティ責任者は上流のセキュリティ情報とパッチを毎月、本 EOL 台帳を四半期ごとに確認する。脆弱性の公表、上流 EOL の変更、CI runner のサポート終了時は臨時レビューを行う。
- ランタイム更新は公開 Issue と PR を使用し、上流リリースノート、イメージダイジェスト、全必須ワークフロー結果、マイグレーション／ロールバック影響を記録する。PostgreSQL のメジャー更新にはバックアップ／復元証跡も必要である。
- EOL ランタイム、未解決の Critical／High 脆弱性がある場合はリリースしない。ただし、セキュリティ方針が認める期限付き例外を独立承認し、代替統制を記録した場合を除く。
上記日付は上流予定であり変更され得る。リリースチェックリストでは、本文書だけに依存せず、公式情報を再確認した証跡を残す。